Statutul NIS 2 în Țările de Jos
Țările de Jos a transpus Directiva NIS 2 a UE prin Cyberbeveiligingswet (Cbw). Legea a venit târziu și se aplică din 15 august 2026, fără perioadă de tranziție.
Prezentare generală
Temeiul juridic este Directiva NIS 2 a UE (2022/2555). Aceasta stabilește pragul minim pentru obligațiile de securitate cibernetică în fiecare stat membru. Țările de Jos a înscris acest prag în legislația națională prin Cyberbeveiligingswet (Cbw), care a înlocuit mai vechea Wbni (Wet beveiliging netwerk- en informatiesystemen) ce implementa NIS 1.
Termenul de transpunere la nivelul UE, 17 octombrie 2024, a fost ratat de Țările de Jos și de majoritatea statelor membre, inclusiv Germania. Proiectul olandez a trecut prin consultare publică în 2024, a fost depus la Tweede Kamer în iunie 2025 și a fost adoptat ca Legea din 8 iulie 2026 (Staatsblad 2026, 187). Comisia a sesizat Curtea de Justiție a UE împotriva Țărilor de Jos la 8 iulie 2026, cu o lună înainte ca Cbw să producă efecte la 15 august 2026.
Cbw și decretul său de aplicare, Cyberbeveiligingsbesluit (Staatsblad 2026, 189), au intrat în vigoare la 15 august 2026, fără perioadă de tranziție, oglindind modul în care Germania a gestionat BSIG. Cbw adoptată, împreună cu directiva UE, este acum referința la stabilirea domeniului de aplicare.
Directiva UE
Directiva (UE) 2022/2555 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (NIS 2).
Stabilește obligațiile de management al riscurilor (art. 21), raportarea incidentelor (art. 23), responsabilitatea organului de conducere (art. 20) și înregistrarea entităților (art. 3 alin. (4)). Statele membre trebuie să transpună în legislația națională, dar nu pot coborî sub pragul minim.
Regulamentul de punere în aplicare al UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024 (CIR).
Detaliază cum arată măsurile prevăzute la art. 21 pentru furnizorii de DNS, registrele TLD, cloud, centrele de date și furnizorii de rețele de livrare de conținut (CDN), furnizorii de servicii gestionate (de securitate), piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Țările de Jos fără alt act național.
Transpunerea olandeză
Cyberbeveiligingswet (Cbw), Legea din 8 iulie 2026 (Staatsblad 2026, 187), în vigoare din 15 august 2026; a înlocuit Wbni.
Cbw atribuie rolurile de supraveghere și CSIRT, definește entitățile esențiale și importante pentru Țările de Jos și adaugă elemente specifice naționale, precum taxe, proceduri de desemnare și predări de sector. Decretul său de aplicare, Cyberbeveiligingsbesluit (Staatsblad 2026, 189), a intrat în vigoare odată cu ea, la 15 august 2026.
Cyberbeveiligingswet (Cbw)
Transpune NIS 2 în legislația olandeză și se aplică din 15 august 2026. Definește entitățile esențiale (essentiële) și importante (belangrijke), stabilește competențele de supraveghere, amenzile și procedurile de raportare a incidentelor și integrează CIR al UE prin trimitere.
RDI, reglementatorii sectoriali, NCSC-NL
Supravegherea este împărțită pe sectoare: Rijksinspectie Digitale Infrastructuur (RDI) pentru infrastructura digitală, furnizorii digitali, managementul serviciilor TIC, energie și administrație; ILT pentru transport, apă și produse chimice; DNB pentru bănci; AFM pentru infrastructurile piețelor financiare; NVWA pentru alimente. NCSC este CSIRT pentru majoritatea sectoarelor.
Termen UE ratat, înregistrare prin portalul olandez
Termenul UE din 17 octombrie 2024 a trecut fără transpunere olandeză. Din 15 august 2026, entitățile din domeniul de aplicare trebuie să se înregistreze în registrul național al entităților de pe MijnNCSC (mijn.ncsc.nl), autentificându-se cu eHerkenning, și să raporteze modificările fără întârziere și în termen de două săptămâni. Incidentele semnificative se raportează atât către CSIRT, cât și către supraveghetor în 24 de ore (avertizare timpurie) și 72 de ore (notificare completă), în conformitate cu art. 23 NIS 2.
Legislația națională se aplică acolo unde sunteți stabilit
O entitate intră sub legislația țării în care este stabilită. Doar unii furnizori digitali (cloud, centre de date, furnizori de servicii gestionate, piețe online și similare) intră sub legislația țării sediului lor principal din UE, iar furnizorii de telecomunicații intră sub legislația fiecărei țări în care furnizează servicii (art. 26 alin. (1) NIS 2).
Directiva este pragul minim, niciodată plafonul
Cbw nu poate coborî sub NIS 2. Poate fi mai strictă pe elementele specifice naționale (proceduri de desemnare, taxe, liste de sectoare). Pentru măsurile de management al riscurilor și raportarea incidentelor, textul UE și CIR stabilesc fondul; actul olandez adaugă învelișul procedural.
Rijksinspectie Digitale Infrastructuur (RDI)
Supraveghetorul pentru infrastructura digitală, furnizorii digitali, managementul serviciilor TIC, energie, spațiu, poștă, producție și administrație. Autoritatea competentă în drept este ministrul responsabil. Succesoare a Agentschap Telecom; se află sub Ministerul Afacerilor Economice.
NCSC-NL (Nationaal Cyber Security Centrum)
CSIRT național sub Ministerul Justiției și Securității. Primește notificările de incidente în temeiul art. 23, emite avertismente sectoriale și coordonează cu ENISA și cu alte CSIRT-uri naționale. Din 1 ianuarie 2026, Digital Trust Center face parte din NCSC, care este acum punctul unic de contact pentru reziliența digitală și CSIRT-ul pentru majoritatea sectoarelor Cbw. Operează registrul entităților pe MijnNCSC.
ENISA
Emite îndrumări la nivelul UE și rapoarte tehnice de implementare. Nu este un reglementator al entităților olandeze. Ghidul său tehnic de implementare privind CIR (cu corespondențe cu ISO 27001) este scris pentru furnizorii digitali acoperiți de CIR; alte entități îl pot folosi ca referință.
NIS 2 olandez oglindește unu la unu BSIG-ul german.
Ambele transpun aceeași directivă, dar textele diferă. Țările de Jos păstrează un model mai puternic de reglementator sectorial și folosesc RDI ca supraveghetor orizontal; Germania canalizează aproape totul prin BSI. Nivelurile sancțiunilor, mecanica înregistrării și îndatoririle de formare a conducerii sunt redactate diferit. Citiți Cbw după propriii termeni, nu ca o traducere a BSIG.
Nu există încă o obligație de înregistrare olandeză, deci putem aștepta.
Art. 3 alin. (4) NIS 2 cere fiecărui stat membru să mențină un registru, iar entităților să își furnizeze datele. Înregistrarea este obligatorie în Țările de Jos din 15 august 2026, fără perioadă de grație: entitățile din domeniul de aplicare se înregistrează în registrul național al entităților de pe MijnNCSC, ținut de ministrul Justiției și Securității (art. 43 Cbw). Modificările se comunică fără întârziere și, în orice caz, în termen de două săptămâni de la data modificării (art. 44 alin. (2) Cbw).
Reglementatorul meu sectorial se ocupă de tot, RDI nu este relevant.
Supravegherea în temeiul Cbw este împărțită pe sectoare: DNB pentru bănci, AFM pentru infrastructurile piețelor financiare, ILT pentru transport, apă și produse chimice, NVWA pentru alimente și RDI pentru infrastructura digitală, energie, administrație și mai multe alte sectoare. Pentru entitățile financiare acoperite de DORA, DORA acționează ca lex specialis în materie de securitate cibernetică, dar înregistrarea NIS 2 în temeiul art. 3 alin. (4) tot se aplică.
Majoritatea entităților olandeze din domeniul de aplicare știau deja că vor intra în domeniul de aplicare. Cbw se aplică din 15 august 2026, fără perioadă de tranziție, așa că acum contează două lucruri: înregistrarea în registrul entităților de pe MijnNCSC și orice comunicare a supraveghetorului sectorului dvs. care stabilește domeniul de aplicare.
Operațional, se aplică patru îndatoriri constante în temeiul Cbw, care transpune aceste articole ale UE: guvernarea securității cu responsabilitatea conducerii (art. 20), aplicarea măsurilor de management al riscurilor (art. 21), raportarea incidentelor semnificative pe ceasul de 24 de ore și 72 de ore (art. 23) și înregistrarea, cu menținerea la zi a înregistrării (art. 3 alin. (4)).
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex, JO L 333, 27 decembrie 2022
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024
- Cyberbeveiligingswet (Cbw), Legea din 8 iulie 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (transpunerea NIS 1, înlocuită de Cbw la 15 august 2026)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, informații de supraveghere NIS 2
- NCSC-NL, ncsc.nl, notificarea incidentelor și îndrumări CSIRT
- ENISA, Ghidul tehnic de implementare NIS 2, versiunea 1.0, iunie 2025 (versiunea 1.2 a tabelului de corespondențe, septembrie 2025)
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
